AVG en nieuwsbrief: wat mag wel en niet bij e-mailmarketing?

Voor een nieuwsbrief heb je onder de AVG en de spamregels in de regel vooraf toestemming nodig van de ontvanger. Alleen bestaande klanten mag je zonder aparte toestemming mailen, over vergelijkbare producten of diensten en met een duidelijke afmeldmogelijkheid. Daarnaast moet je kunnen aantonen dat je die toestemming hebt en zorgvuldig omgaan met de adressen.

Welke regels gelden voor een nieuwsbrief?

Er spelen twee sets regels tegelijk:

• De AVG (Algemene verordening gegevensbescherming) gaat over hoe je persoonsgegevens verzamelt, bewaart en beveiligt. Een e-mailadres is een persoonsgegeven. Toezicht: de Autoriteit Persoonsgegevens.
• De Telecommunicatiewet bevat het spamverbod: regels over wanneer je ongevraagd reclame per e-mail mag sturen. Toezicht: de ACM.

In de praktijk vullen ze elkaar aan. De Telecommunicatiewet bepaalt of je iemand mag mailen, de AVG bepaalt hoe je met de gegevens omgaat. Wil je je hele website langslopen op privacy, gebruik dan de AVG-checklist voor je website.

Wat mag wel en wat mag niet?

Situatie	Mag het?
Iemand meldt zich zelf aan via je formulier	Ja, mits de aanmelding bewust is en je dit kunt aantonen
Een klant die iets kocht een aanbieding sturen voor iets vergelijkbaars	Ja, als je bij het verzamelen al de kans gaf om bezwaar te maken en in elke mail een afmeldlink zit
Een vooraf aangevinkt vakje “Ja, ik wil de nieuwsbrief”	Nee, toestemming moet een actieve keuze zijn
Toestemming verstoppen in je algemene voorwaarden	Nee
Een gekochte adressenlijst mailen	Nee, die mensen gaven jou geen toestemming
Visitekaartjes van een beurs in je mailinglijst zetten	Niet zonder meer, vraag eerst of ze je nieuwsbrief willen
Afmelden laten lopen via een inlog of vragenlijst	Nee, afmelden moet eenvoudig en gratis zijn

Toestemming: waar moet die aan voldoen?

De ACM noemt een paar duidelijke eisen. Toestemming moet een bewuste keuze zijn, dus geen vooraf aangevinkt vakje, geen druk en niet weggestopt in voorwaarden. De ontvanger moet ook weten dat het om reclame of promotie gaat.

Je moet die toestemming kunnen bewijzen. Volgens de ACM tot vijf jaar na verzending. Bewaar daarom per adres wanneer en via welk formulier iemand zich aanmeldde. De meeste e-mailtools doen dat automatisch.

Is double opt-in verplicht?

Bij double opt-in krijgt iemand na aanmelding eerst een bevestigingsmail en staat hij pas op de lijst na een klik. Dat is niet wettelijk verplicht, maar wel verstandig. Je voorkomt dat iemand een ander zijn adres invult, en je hebt een sterk bewijs van toestemming.

Bestaande klanten mailen zonder toestemming

Voor klanten geldt een uitzondering, ook wel soft opt-in genoemd. Je mag hen mailen over producten of diensten die passen bij wat ze eerder bij jou kochten, als:

• je het e-mailadres kreeg in het kader van een aankoop;
• je bij het verzamelen al de mogelijkheid gaf om bezwaar te maken;
• je in elke mail een eenvoudige, gratis afmeldmogelijkheid opneemt;
• duidelijk is wie de afzender is.

Let op: “vergelijkbaar” is de grens. Een fietsenwinkel mag een klant mailen over fietsonderhoud of accessoires, maar niet over een reis die een partner organiseert.

En zakelijke e-mailadressen?

Veel ondernemers denken dat de regels niet gelden als je bedrijven mailt. Dat klopt niet zomaar. De ACM-uitleg over e-mailreclame maakt geen apart onderscheid voor zakelijke ontvangers. Een zzp’er of eenmanszaak is bovendien een natuurlijk persoon, en ook een adres als jan@bedrijf.nl is een persoonsgegeven onder de AVG.

De veilige route: behandel zakelijke adressen hetzelfde als particuliere. Vraag toestemming, of beperk je tot bestaande klanten met een afmeldlink.

Wat de AVG vraagt van je mailinglijst

1. Vraag alleen wat je nodig hebt. Een e-mailadres en eventueel een voornaam zijn genoeg. Geboortedatum of telefoonnummer vraag je alleen als je er echt iets mee doet.
2. Vermeld het in je privacyverklaring. Leg uit waarvoor je het adres gebruikt, hoe lang je het bewaart en hoe iemand zich afmeldt. Zie privacyverklaring opstellen.
3. Sluit een verwerkersovereenkomst met je e-mailtool. Die tool verwerkt gegevens namens jou. Bij de meeste bekende aanbieders is die overeenkomst standaard beschikbaar.
4. Verwerk afmeldingen direct en mail die persoon daarna niet meer.
5. Ruim op. Adressen die al lang niet meer openen of zijn afgemeld, hoef je niet eeuwig te bewaren.
6. Beveilig de lijst. Geen exports op een USB-stick of in een gedeelde map waar iedereen bij kan.
7. Beantwoord verzoeken. Mensen mogen vragen welke gegevens je hebt en die laten verwijderen.

Je aanmeldformulier AVG-proof inrichten

Hier gaat het in de praktijk het vaakst mis. Een goed aanmeldformulier heeft:

• een duidelijke tekst over wat iemand ontvangt en hoe vaak, bijvoorbeeld “maandelijks tips en aanbiedingen”;
• een leeg vinkje of een aparte aanmeldknop, nooit een vooraf aangevinkt vakje;
• bij een contact- of bestelformulier een aparte keuze voor de nieuwsbrief, los van het versturen van het formulier;
• een link naar je privacyverklaring;
• alleen de velden die je echt gebruikt.

Gebruik je ook tracking op de pagina met het formulier, controleer dan of je cookiebanner goed staat. Dat zijn aparte regels, maar ze worden vaak samen beoordeeld.

Praktijkvoorbeeld: een kapsalon met een klantenlijst

Een kapsalon heeft in de loop der jaren 800 e-mailadressen verzameld via het afsprakensysteem. De eigenaar wil een maandelijkse nieuwsbrief starten met tips en aanbiedingen.

Klanten die een afspraak hadden, mag ze onder de soft opt-in mailen over haarbehandelingen en producten die de salon verkoopt. Wel moet in elke mail een afmeldlink staan. Adressen van mensen die alleen ooit een vraag stelden via de website, zijn geen klanten. Die mailt ze niet; ze voegt in plaats daarvan een aanmeldvakje toe aan het afsprakenformulier en de website. Zo groeit de lijst verder met mensen die er zelf om vroegen.

Wat als het misgaat?

De ACM kan boetes opleggen bij overtreding van het spamverbod, en de Autoriteit Persoonsgegevens bij AVG-overtredingen. Raakt je mailinglijst onbedoeld in verkeerde handen, dan kan dat een datalek zijn dat je moet melden bij de Autoriteit Persoonsgegevens. Meer over de spamregels lees je bij de ACM.

Zelf regelen of uitbesteden?

De meeste regels kun je zelf goed toepassen: geen aangevinkte vakjes, een afmeldlink in elke mail, double opt-in aanzetten in je e-mailtool en je privacyverklaring bijwerken. Dat is een middag werk.

Laat je helpen als je formulieren op meerdere plekken op je site staan, als ze gekoppeld zijn aan een CRM of webshop, of als je twijfelt of je oude lijst nog bruikbaar is. Bij juridische twijfel over je specifieke situatie is een jurist de juiste persoon. Dit artikel is algemene uitleg en geen juridisch advies.

Wil je een website met formulieren die netjes en volgens de regels zijn ingericht? Bekijk dan onze pagina over een website laten maken.

Veelgestelde vragen